1、网络应用中的安全,随着因特网应用的不断普及，整个社会对网络的依赖程度越来越大。众多的企业、组织、政府部门与机构都在组建和发展自己的网络，并连接到因特网上，以充分共享、利用网络的信息和资源，传递和获取信息。但是网络发展的同时也伴随着一系列问题，信息系统及网络资源正受到各种威胁，如计算机病毒、黑客入侵等。面对这些问题，我们应该如何更加安全地使用网络呢？,1988年11月2日下午5时1分59秒，美国康奈尔大学的计算机科学系研究生、23岁的莫里斯(Morris)将其编写的蠕虫程序输入计算机网络，这个网络连接着大学、研究机关的15.5万台计算机，在几小时内导致网络堵塞，运行迟缓。这件事就像是计算机界的一
2、次大地震，震惊了全世界，引起了人们对计算机病毒的恐慌，也使更多的计算机专家重视和致力于计算机网络病毒研究。,计算机网络病毒,什么是计算机病毒呢？计算机病毒是指编制或者在计算机程序中插入破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。与医学上的“病毒”不同，计算机病毒不是天然存在的，是某些人利用计算机软件和硬件所固有的脆弱性编制的。它能通过某种途径潜伏在计算机存储介质(或程序)里，当达到某种条件时即被激活，通过修改其他程序的方法将自己的精确拷贝或者可能演化的形式放入其他程序中，从而感染它们，对计算机资源进行破坏。,计算机网络病毒,随着网络的普及，病毒的传播也
3、从简单的介质传播向多样化的网络传播发展。计算机网络病毒在计算机网络上传播扩散，专门攻击网络薄弱环节，破坏网络资源。网络病毒的出现为网络带来更加灾难性的后果。网络病毒的来源主要有两种：一种来自电子邮件，另一种来自于下载的文件。在网络环境下，网络病毒除了具有可传播性、可执行性、破坏性和可触发性等共性外，还具有一些新的特点，如感染速度快、扩散面广、难于彻底清除、破坏性大，因此计算机网络病毒比单机病毒的危害更大，杀伤力也更强，必须采取措施加强防治。,计算机网络病毒,如何防范病毒的攻击以确保网络安全呢？我们打个比方，保护网络安全好比守护办公大楼或是住房，你会先安上防盗门，将不速之客拒之门外，防火墙(Fi
4、rewall)就是网络上的“防盗门”。它控制着访问网络的权限，只允许特许用户进出网络。防火墙是一个或一组网络设备，它架在两个或两个以上的网络之间，用来加强访问控制，免得一个网络受到来自另一个网络的攻击。网络安全防火墙可以在用户的计算机和因特网之间建立起一道屏障，如图所示，使用户的计算机在很大程度上避免受到来自外部的攻击。,认识防火墙,如果从实现方式上来分，防火墙又分为硬件防火墙(见第三章)和软件防火墙两类。软件防火墙是通过纯软件的方式来实现，价格很便宜,因此个人较多使用的是这类防火墙。尽管利用防火墙可以保护网络免受攻击，但其只能够提高网络的安全性，不可能保证网络绝对安全。,认识防火墙,为确保网
5、络安全，仅安装防火墙是不够的，还需要采用其他技术，如用户验证、入侵检测、密码技术等，在这里我们主要介绍一下加密、解密技术。替换法是一种常用的加密方法，例如，可以利用字母表中的位置号码替换相应字母。按照图111所示的对应关系，“turn left”加密后为“20 2118 14 12 05 06 20”。接收方收到这些数字后找到字母表中相应的字母，就可以知道对方传递的信息。,加密、解密技术,随着密码技术的发展，目前，使用计算机进行加密所使用的算法有对称密钥加密算法和公开密钥加密算法两类。对称密钥加密算法是使用同一密钥进行加密和解密的，又称会话密钥加密算法；公开密钥加密算法是使用不同的密钥进行加密
6、和解密的，又称非对称密钥加密算法，见图112。,加密、解密技术,两种加密技术各有特点，对称密钥运算量小、速度快，且安全强度高，但是一旦密钥丢失，密文将无密可保；而公开密钥加密算法的优点是可以适应网络的开放性要求，且密钥的管理也较为简单，尤其是可以方便地实现数字签名和验证。在实际应用中人们通常将两者结合在一起使用，例如，对称密钥加密系统用于存储大量数据信息，而公开密钥加密系统则用于加密密钥。使用这两种算法对信息进行加密后，解密需要很大的计算量，加密强度较高(此处所说的加密强度是指在受到攻击时密文被破解的难易程度)。例如采用56比特的密钥长度，密钥种类为256种，采用一般的穷举法进行试验，即使一台
7、计算机在1秒钟内可试验1000个密钥，也需要计算2万年才能穷尽，可见加密的强度是很高的。再如RSA算法(一种公开密钥加密算法)，它的密钥至少为500位长，现在一般推荐使用1024位，同学们可以想像一下加密的强度。,加密、解密技术,同学们可能会问，既然加密技术这么有效，那么，用这种技术加密我们的银行账户密码、邮件登录密码不就安全了吗？为什么总是提示我们“密码长度最好在八位或八位以上，组成字符最好包括大小写、数字字母或控制符”呢？的确，在别人不知道你设的密码的情况下，直接针对密文进行破译，即使采用当前最快的电脑，还可以认为是破译不出来的(因为所需时间实在是太长了)。但要是攻击的人以你设的密码为突破
8、口，则情况完全是另外一个样子，下面我们来看利用穷举法破解加密密码的过程，见图113。,个人密码的设定,利用穷举法破解密码的过程一般是估计密码长度范围，然后利用全部可能的字符：19，az，AZ，排列组合成密码M，作为“明文”用加密算法（加密算法是公开的）进行计算，将结果“密文2”和密钥加密后的“密文1”比较，如果“密文1”“密文2”，那么，M就是你所设置的密码。破解所需要的时间S所有的组合数X/计算机每秒计算多少个组合 Y，如果你设的密码是不超过8位的数字，所有的组合只有108107+10=10/9(1081)，那么用一台一秒钟可计算100万次的电脑，用穷举法最多在两分钟之内就可以破解出你的密码
9、。如果你使用数字、字母（大小写）、控制符等，同学们可以自己算一算，能有多少种组合呢？这样破解的时间就会大大增加，如果过一段时间你再将密码更换，即使黑客破解出来，已经没有意义了。,个人密码的设定,因此，同学们在设定密码时，最好是由大小写字母、标点、数字以及控制符等组成，并有规律地更换。随着通信手段的丰富和发展，密码与我们每个人的生活息息相关，作为个人，我们要采取一些有效的保护措施，避免不必要的损失。密码设定策略建议包含三部分：英文+数字+特殊字符,个人密码的设定,因特网中的信息检索,目录索引类、全文搜索引擎、元搜索引擎新浪 百度 Google 北大天网 http:/ 多媒体信息检索2. 专业垂直
10、搜索引擎,因特网信息检索发展趋势,搜索引擎工作原理,第二章 因特网的组织与管理,在日常生活中，我们需要记住各种类型的地址以便与人通信联络，如邮政编码、独立的街道地址、住宅电话号码、商业电话号码和传真号码等等。在因特网上也是这样，它定义了两种方法来标识网上的计算机，这两种方法分别是因特网的IP地址和域名。本章我们将了解因特网是如何组织与管理的，并学习如何将自己的计算机接入因特网。,2.1域名与域名的管理,正如在现实生活中，每个单位、每个人都有自己的名字，网站在因特网上也有相应的“名字”，这就是域名。在本节学习中我们将了解域名的相关知识，通过学习，你将：了解域名的概念及其命名规则知道域名的管理办法
11、和相应的重要管理机构学会规范地申请、使用域名的方法,8848 商务网一度成功，很大程度上得益于其响亮的域名,世界最高峰珠穆朗玛峰的高度8848 米成了网站的名称，这使得它在很短的时间内赢得了广大的注意力。,什么是域名？域名(Domain Name)是因特网上一个服务器或一个网络系统的名字，网络间正是通过域名进行相互访问的。在全世界没有重复的域名。例如，清华大学的域名是“”，它就是接入因特网的清华大学网络系统的名字。如同父母给自己的孩子起名字，域名的选取会受到各种因素的影响，比如：是否足够响亮？是否便于记忆？遵守什么样的符号使用规则？,2.1.1 域名的一般知识,域名的基本结构在因特网中，用户可
12、以用各种各样的方式来命名自己的网站，这样就可能在因特网上出现重名，如提供WWW服务的主机都命名为WWW，提供E-mail服务的主机都命名为mail等，这样就不能惟一地标识因特网中的主机位置。为了解决这个问题，因特网管理机构采取了在主机名后加上后缀的方法，用来标识主机的区域位置，这个后缀名称为域名，域名是通过申请合法得到的。这样，在因特网上的主机就可以用“主机名域名”的方式惟一地进行标识。如，清华大学提供FTP服务的主机便被命名为“”。,为了防止重复、分散管理，域名系统采用层次结构，按地理域或机构域进行分层。域名从较高的层次向较低的层次逐层缩小，并且在每个层次中都保持其意义的单一性，这是沿用了欧
13、美人书写地址的习惯。书写中采用圆点将各个层次隔开，分成层次字段。在机器的地址表示中，域名是由若干英文单词组成，中间由“.”来分隔，从右到左依次为顶级域名段(TLD)、次高域名段等，最左的一个字段为主机名。,“新浪网” 在中，顶级域名为cn，代表某个国家、地区或大型机构，这里的cn代表的是中国；网络名为com，也叫二级域名，代表部门系统或隶属一级区域的下级机构；最后一个域即组织机构名为sina，也叫三级域名，是本系统、单位或院所的软硬件平台的名称。,因特网的域名组织,由于在因特网上的各级域名是分别由不同机构管理的，所以，各个机构管理域名的方式和域名命名规则也有所不同。域名命名的一些共同规则主要有
14、以下几点。域名中包含的字符26个英文字母10个阿拉伯数字“-”(英文中的连字符)域名中字符的组合规则在域名中，不区分英文字母的大小写。对于一个域名的长度是有一定限制的。例如，注册CN下域名，三级域名的长度不能超过20个字符。,域名命名的一般规则,域名起好后，必须得到认可，才能让众多的因特网用户知道，也就是需要注册域名。因特网上的网站不计其数，而且每年都会有很多新的网站产生。我们先来了解一下管理域名的机构和相关的管理办法。,2.1.2 域名的管理,因特网上对域名的管理没有专门的组织管理机构，而是由一些非赢利性的机构进行管理与服务。一般来说，这些职能是由一个全球性网络组织所承担。这些组织包含学术研
15、究人员、技术组织、因特网工程师、志愿者以及与美国政府签约的人员或机构,如因特网协会(ISOC)。从1998年起，全球域名的管理职责由因特网域名与地址管理机构(ICANN)来承担。,域名管理机构,1997年6月3日，我国成立了中国互联网络信息中心(CNNIC)，我国的域名管理职责由该非赢利性管理与服务机构来承担。主要职责包括以下几方面：(1) 域名注册管理：提供域名管理政策及其规定、域名注册服务机构、域名统计信息查询，同时提供有关域名问题的解答。(2) IP地址分配：IP地址分配的有关规定、步骤。(3)目录数据库服务：CNNIC负责建立并维护全国最高层次的网络目录数据库，提供对联网用户、网络地址
16、、域名、自治系统号等方面信息的查询服务。,我国的域名管理职责又由什么样的组织来承担呢？,(4) 因特网寻址技术研发。(5) 因特网调查与相关信息服务。(6) 国际交流与政策调研。(7) 承担中国互联网协会政策与资源工作委员会秘书处的工作。,域名是一种很宝贵的资源。因为因特网为交流信息和销售商品与服务提供了一个巨大的市场，所以域名已变得像公司名称或商标一样有价值。在商界，域名已被称做“企业的网上商标”。随着网络经济的发展，域名的商业价值越来越得到企业的重视。由于目前在中文域名注册程序上并不对企业的资质进行审查，不少企业、单位和个人恶意将他人的企业名称、单位名称、著名商标和知名网站名称注册成为自己
17、的域名，在域名与商标的关系方面的纠纷越来越多。当域名问题在国际层次争论的时候，一些国家的法院开始通过对一些案例的判决，使这一领域有了可供参照的案例。,域名管理办法,了解了域名的管理机构和管理办法，我们现在来了解域名注册的过程。根据中国互联网络域名管理办法，域名注册服务遵循“先申请先注册”的原则。根据中华人民共和国信息产业部颁布的管理办法，我国域名体系最高级为cn。二级域名分为类别域名和行政区域名两套，共40个。按照规定，用户在二级域名下申请注册三级域名。域名注册： 域名备案：http:/ IP地址及其管理,2.2.1 计算机的网络身份IP地址,域名是人们为了便于记忆而采取的一种命名方式，域名使
18、我们使用因特网变得方便、简单。但是在因特网中作为通信对象的计算机只有通过IP地址才能被识别，IP地址才是网络中计算机的身份标识。通过本书的学习，你将：了解IP地址的概念、格式及分类知道IP地址的管理办法认识IP地址资源的有限性,通过上一节的学习，我们知道域名是由几个有特定意义的字符构成的，这是人们为了便于记忆而采取的一种命名方式，使用域名使我们利用因特网变得方便、简单。但是，作为通信对象的计算机并不能直接通过域名找到对应的计算机。因特网是由不同物理网络互连而成，不同网络之间实现计算机的相互通信，必须有相应的地址标识，这个地址标识称为IP地址。IP地址是惟一标识出主机所在的网络及其网络中位置的编
19、号。,IP地址的概念,IP地址提供统一的地址格式，传统的IP地址是由32个二进制位(bit)组成。由于二进制使用起来不方便，常用“点分十进制”方式来表示。即将IP地址分为4个字节，每个字节以十进制数(0255)来表示，各个数之间以圆点来分隔。如“159.226.1.19”。每个IP地址有两部分组成，即网络标识netid和主机标识hostid。网络标识确定了该主机所在的物理网络，主机标识确定了在某一物理地址上的一台主机。,IP地址的格式,由于因特网上的网络规模有很大区别，因此IP的编址方案将IP地址空间划分为A、B、C三种基本类型，每类有不同长度的网络标识和主机标识。如图所示。,IP地址的分类,
20、A类：A类地址分配给少数规模很大的网络，每个A类地址的网络有众多的主机，具体规定如下：32位地址域中第一个8位为网络标识，其中第0位为0，表示A类地址，其余24位均为主机标识，由该网的管理者自行分配。B类：B类地址分配给中等规模的网络，每个B类地址的网络有较多的主机，具体规定如下：32位地址域中前两个8位为网络标识，其中头两位为10，表示B类地址，其余16位均为主机标识，由该网的管理者自行分配。,C类：C类地址分配给小规模的网络，每个C类地址的网络只有少量主机，具体规定如下：32位地址域中前三个8位为网络标识，其中前三位为110，表示C类地址，其余8位为主机标识，由该网的管理者自行分配。此外，
21、还有两类不属于基本类的地址，D 类和E类。D类用于组播（multicast）传送至多个目的地址，头4位标识为1110，因此IP地址的头8位范围为224239。E类用于保留地址，头4位标识为1111，因此IP地址的头8位范围为240255。,下表列出了ABC3类IP地址的范围、可支持的网络数目和每个网络支持的主机数的比较。,仔细看上表，你会发现，怎么没有出现127.x.y.z这样的IP地址？这是因为因特网中有一些特殊的IP地址，他们具有特殊的用途。如网络标识符127作为环回接口预留。大多数系统把IP地址127.0.0.1分配给这个端口。环回接口允许运行在同一台主机上的客户程序和服务器程序通过TC
22、P/IP通信。如果发送消息给127.0.0.1，此消息将回传给自己。,2.2.2 IP地址的管理,因特网地址分配机构(IANA)，负责全球IP地址与域名的管理。全球IP地址的分配是按照一种分级的方式管理的。,目前的因特网技术共能提供约4亿个左右的独立IP地址，但是这些IP地址并没有合理地分配给各个国家和地区。因为因特网是从美国兴起并以美国为中心发展起来的，因此绝大多数IP地址已被美国所占有，使原本有限的IP地址资源出现分配严重不均衡的局面。中国，世界上人口最多的国家，所分得的大多是C类地址，A类和B类地址几乎没有。我国拥有的IP地址在总量上与美国相比还有一定差距。随着IP地址短缺的矛盾日益突出
23、，人们正在考虑使用新的技术，以提供更多的IP地址。IPV6,2.3 如何将计算机接入因特网,为了获取因特网上丰富的信息资源和信息服务，实现资源共享，首先要将我们的计算机接入因特网。如何将计算机接入因特网，需要进行哪些配置？如何配置？通过本节的学习，你将：知道计算机接入因特网的主要方式了解IP地址的动态配置与静态配置方法掌握网关的作用，学会配置网关掌握代理服务器的概念和作用，学会设置代理服务器了解域名解析的基本过程，掌握域名解析服务器的配置方法,2.3.1 因特网服务组织,我们想要将计算机接入因特网，首先要了解的就是计算机是通过什么方式与因特网相连接的。计算机与因特网相连，必须要有专门的线路。但
24、是租用数据专线与因特网主干线连接需要很高的费用，一般用户负担不起。于是，就出现了一些商业机构，他们先出钱架设(或租用)某一地区到因特网主干线路的数据专线，把位于本地区的某台作为服务器的电脑主机与因特网骨干线联通。这样，本地区的用户就可以通过便宜的拨号电话线路进入该服务器，然后通过该服务器间接进入因特网。对这些商业机构来说，虽然每个用户交的钱不多，但达到一定的用户数量之后，不但可以挣回数据专线以及电脑服务器的昂贵费用，还能赢利。提供这样服务的商业机构就叫做因特网服务提供商(InternetServer Provider，简称ISP）。,国内著名的ISP有：中国教育和科研计算机网(CERNET)、
25、中国电信(163、169)、中国金桥信息网(CHINAGBN)等，另外在各地还有一些民间ISP服务商。从某种意义上讲，ISP是用户通往因特网的必经之路，所以选择一个适合自己的ISP很重要。,2.3.2 设置IP地址和子网掩码,通过上一节的学习，我们了解到IP地址是不同网络之间实现计算机相互通信必须有的惟一地址标识，因此，计算机要加入因特网，在选择好合适的ISP之后，下一步该做的工作就是配置IP地址。一般来说，家庭上网方式为MODEM、ISDN或ADSL方式，单位、企业等有多台计算机需要同时上网的，则通过局域网接入因特网。我们下面以拨号上网与局域网方式上网的两种实际操作为例，看看上网可能需要进行
26、哪些配置。,两种上网方式,拨号上网就是通过电话线与因特网建立连接。,拨号上网,通过局域网接入因特网,通过比较，我们发现在IP地址的设置上，两种入网方式是不相同的。拨号上网不需要用户手动设置IP地址，可以自动获得，但是每次拨号后的IP地址不同；通过局域网接入因特网是根据分配获得一个固定IP地址，进行手动设置。IP地址的分配有静态分配法与动态分配法。,IP地址的设置,静态分配法使用的前提是要有足够的IP地址，只有这样你才可以给每台计算机分配一个固定的地址。这种方法的优点是易于管理，缺点是浪费IP地址资源。,静态分配法,把公用的IP地址暂时分配给用户使用。例如：校园局域网内有200台计算机，如果使用
27、静态分配法，需要每台计算机有一个固定的IP地址，即需要有200个IP。但如果使用动态分配法，则可以少于200个IP地址。当有一个用户登录网络时，向服务器请求获得一个IP地址，服务器将把一个IP地址暂时分配给这个用户使用；在这个用户使用完这一IP地址或到一定期限以后，服务器再收回这一地址。因此，同一个用户在多次应用中申请到的IP地址可以不是同一个。服务器在自动分配IP地址的同时，也对客户机自动进行其他TCP/IP属性设置。由于并不是每台计算机都时时在线，因此所需要的IP地址数量也就少于计算机台数。这种方式的优点是实现了IP地址的动态分配，节约了IP地址资源；缺点是安全性较差。,动态分配法,子网掩
28、码的设置在“TCP/IP”属性的IP地址的下一行，是“子网掩码”，它只有一个作用，就是将某个IP地址划分成网络地址和主机地址两部分。子网掩码不能单独存在，它必须结合IP地址一起使用。图28所示的就是IP地址为“192.168.1.1”和子网掩码为“255.255.255.0”的二进制对照。,子网掩码的设置,在子网掩码中，二进制1表示网络地址位，二进制0表示主机地址位。传统的各类地址的子网掩码为：A类：255.0.0.0B类：255.255.0.0C类：255.255.255.0只有通过子网掩码，才能表明一台主机所在的子网与其他子网的关系，使网络正常工作。在Windows2000以上的操作系统中
29、，如果给一个网卡指定IP地址，系统会自动填入一个默认的子网掩码。这是为了节省用户输入时间,自动产生的子网掩码。比如，局域网最常使用的IP地址“192.168.x.x”默认的子网掩码是“255.255.255.0”。一般情况下，IP地址使用默认子网掩码就可以了。,2.3.3 设置网关和代理服务器,2.3.4 设置DNS服务器,在学习了域名和IP地址之后，我们知道，在浏览器地址栏里输入的是域名，而计算机是通过IP地址识别所要访问的目标。域名与地址之间需要进行转换，这个任务就是由DNS服务器来完成的。如果只是一些小规模的网络，要实现域名与地址之间的转换，只要在各计算机上准备好域名与IP地址的对应表就万事大吉了。但是因特网上有几百万台计算机、成千上万的组织和上亿用户，用这样的对应表来实现域名和IP地址的转换显然不现实，因此出现了对每台计算机的命名方案，即域名系统(DNS)。转换任务就是由域名系统服务器(DNS Server)来完成的，而完成这一任务的过程就称为域名解析。每个域名必须有一个以上的DNS服务器来管理属于该域名的主机信息。因此在设置时要设置“首选DNS服务器”和“备用DNS服务器”。,DNS服务器的作用,
